Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Komponenten der Benutzerkontensteuerung 103
Administratorbestätigungsmodus fälscht. Malware kann Benutzername und Kennwort nicht
in ein gültiges UAC-Dialogfeld eingeben, das auf dem sicheren Desktop angezeigt wird, und
sie kann nicht Runas.exe verwenden, um einen Prozess mit erhöhten Privilegien auszuführen,
oder ein echtes UAC-Dialogfeld automatisieren.
Remoteunterstützung
In Windows Vista und Windows Server 2008 kann ein Domänenbenutzer als Standardbenutzer
arbeiten, wobei eine zentrale IT-Gruppe alle Verwaltungsaufgaben erledigt. Microsoft
stellt für unterschiedliche Administrationszwecke einerseits den Remotedesktop (Remote
Desktop, RD) und andererseits die Remoteunterstützung (Remote Assistance, RA) zur Verfügung,
um auf Computer zuzugreifen. RD-Sitzungen sind nützlich, wenn ein Administrator
keine Endbenutzerinteraktion benötigt, aber vollständige Kontrolle über den Remotecomputer
braucht. RA ist nützlich für Diagnose und Problembehandlung, wenn der Endbenutzer
einem IT-Experten sein Problem demonstrieren muss. Auf die RA hat die UAC einige Auswirkungen.
Es ist wichtig, dass Sie diese Auswirkungen kennen.
IT-Experten bekommen es im Zusammenhang mit der RA vor allem mit zwei Problemen zu
tun. Erstens: In der Standardeinstellung verwenden die UAC-Eingabeaufforderungen den
sicheren Desktop, daher kann der Remotebenutzer sie nicht bedienen. Zweitens: Falls die
UAC-Richtlinie Verhalten der Benutzeraufforderung mit erhöhten Rechten für Standardbenutzer
auf die Einstellung Anforderungen für erhöhte Rechte automatisch ablehnen gesetzt
ist, werden Anhebungsanforderungen völlig verweigert.
Windows Vista SP1 hat eine neue UAC-Richtlinie, die das Problem mit der Eingabeaufforderung
auf dem sicheren Desktop beseitigen soll: Benutzerkontensteuerung: UIAccess-Anwendungen
können erhöhte Rechte ohne sicheren Desktop anfordern. Wenn diese Richtlinie
konfiguriert ist, deaktiviert AIS dynamisch den sicheren Desktop für Anwendungen mit UI-
Access-Zugriffsebene (zum Beispiel Remoteunterstützung) und aktiviert ihn wieder, sobald
das Programm beendet wurde. Weitere Informationen finden Sie im Abschnitt »Was hat sich
bei der UAC in Windows Server 2008 und Windows Vista SP1 geändert« weiter unten in
diesem Kapitel.
Falls die Richtlinie Verhalten der Benutzeraufforderung mit erhöhten Rechten für Standardbenutzer
auf Anforderungen für erhöhte Rechte automatisch ablehnen gesetzt ist, kann der
IT-Experte, der die Verbindung über RA herstellt, keine Anwendung mit administrativen
Privilegien starten. Um dieses Problem zu umgehen, kann der IT-Experte mit Runas.exe ein
Eingabeaufforderungsfenster unter seinem eigenen Benutzernamen und dem zugehörigen
Kennwort starten und dort einen Prozess starten, der die Anhebung erfordert. Die UAC verwendet
dann die UAC-Eingabeaufforderungsrichtlinie des IT-Experten.
Als IT-Experte können Sie zum Beispiel folgendermaßen vorgehen, um den Registrierungs-
Editor mit Administratorprivilegien auszuführen:
1. Öffnen Sie eine Eingabeaufforderung und geben Sie runas /user:Domäne\ITExperte
cmd.exe ein.
2. Geben Sie im daraufhin geöffneten Eingabeaufforderungsfenster den Befehl regedit.exe
ein.
3. Bestätigen Sie die UAC-Anhebungseingabeaufforderung.